O que a LGPD diz sobre dados anonimizados

O artigo 5º, inciso III da LGPD define dado anonimizado como aquele relativo a um titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e eficazes disponíveis no momento do tratamento. A definição é deliberadamente funcional: não existe uma lista de técnicas aprovadas, mas sim um critério de resultado verificável.

O artigo 12 é o ponto central da discussão. Ele estabelece que dados anonimizados não são considerados dados pessoais para os fins da lei, o que significa que a LGPD deixa de se aplicar a eles. Organizações que trabalham com dados genuinamente anonimizados não precisam de base legal para o tratamento, não estão sujeitas aos direitos dos titulares e não precisam registrar atividades de tratamento na forma exigida pelo artigo 37.

A distinção entre dado anonimizado, pseudonimizado e pessoal é crítica. Dado pseudonimizado ainda é dado pessoal — a LGPD deixa isso explícito no §4º do artigo 12. Pseudonimização substitui o identificador direto por um código, mas a reversão é possível mediante uso de chave ou tabela de correspondência. Dado anonimizado, em tese, não permite essa reversão por qualquer meio tecnicamente viável no contexto de tempo e recursos disponíveis.

A ANPD ainda não publicou resolução específica consolidando critérios de anonimização, mas em manifestações técnicas adota o entendimento de que “meios técnicos razoáveis” devem ser avaliados dinamicamente: o que era tecnicamente inviável há cinco anos pode ser trivial hoje, alterando a classificação de um dado retroativamente.

Quando a LGPD volta a se aplicar mesmo após anonimização

O §1º do artigo 12 traz a exceção principal: se o processo de anonimização puder ser revertido, os dados continuam sendo pessoais para todos os efeitos da lei. A reversibilidade não precisa ser imediata nem trivial — basta que seja possível com meios tecnicamente razoáveis, mesmo que exija algum esforço.

O risco de reidentificação por combinação de bases é reconhecido internacionalmente desde pelo menos 2006, quando Latanya Sweeney demonstrou que 87% dos americanos podiam ser identificados apenas com CEP, data de nascimento e sexo. No Brasil, onde bases públicas como CPF parcial, NIS, registros eleitorais e dados do SUS são amplamente acessíveis, o risco é estruturalmente elevado: qualquer dataset com variáveis demográficas granulares passa a ser suspeito.

Quem determina se a reversão é possível? A lei não cria um árbitro específico, mas na prática a responsabilidade recai sobre o controlador, e a ANPD pode questionar a decisão em caso de fiscalização. O critério é o de esforço desproporcional combinado com a disponibilidade real de técnicas de reidentificação no mercado, não apenas na academia.

Datasets de saúde e financeiros ilustram bem o problema. Um conjunto de registros hospitalares com diagnóstico, faixa etária quinquenal e município de residência pode parecer anônimo, mas cruzado com bases de planos de saúde ou dados de geolocalização de aplicativos permite inferência individual com precisão elevada. O mesmo vale para históricos de transações financeiras com valores e categorias de estabelecimento preservados.

Técnicas de anonimização aceitas e suas limitações

Principais abordagens técnicas

Generalização substitui valores específicos por intervalos ou categorias mais amplas: idade exata vira faixa etária, endereço vira bairro ou CEP truncado. Supressão remove campos identificadores diretamente. Perturbação estatística adiciona ruído controlado aos dados, preservando distribuições agregadas mas alterando valores individuais. K-anonimato garante que cada registro seja indistinguível de pelo menos k-1 outros registros com os mesmos quasi-identificadores.

Variantes mais sofisticadas do k-anonimato incluem l-diversidade e t-closeness, que abordam limitações conhecidas do modelo base. Differential privacy, adotada por organizações como Apple e Google em produtos de analytics, injeta ruído matematicamente calibrado para oferecer garantias formais de privacidade mesmo frente a ataques de reidentificação sofisticados.

Por que pseudonimização não é anonimização

O erro mais comum que expõe organizações a risco regulatório é tratar pseudonimização como anonimização. Substituir nome e CPF por um hash SHA-256 ou UUID não anonimiza o dado: o hash pode ser revertido se o atacante tiver acesso ao dado original, e o UUID funciona como chave de junção com outras bases. Enquanto existir qualquer meio de associar o registro a um indivíduo, o dado é pessoal.

Nenhuma técnica garante anonimato absoluto em cenários de alta disponibilidade de dados externos. À medida que mais dados pessoais ficam acessíveis publicamente — redes sociais, vazamentos, registros governamentais — o universo de quasi-identificadores disponível para cruzamento cresce. Uma técnica que oferecia garantias razoáveis em 2018 pode ser insuficiente hoje.

Documentação como requisito implícito

A lei não exige formalmente que a decisão de anonimização seja documentada, mas é a única forma de o controlador demonstrar conformidade em caso de questionamento. A documentação deve registrar: quais técnicas foram aplicadas, quais quasi-identificadores foram considerados, qual o modelo de ameaça avaliado (quem poderia tentar a reidentificação e com quais recursos), e por que a conclusão foi de anonimização eficaz no momento do tratamento.

Esse registro também precisa prever revisão periódica. Se as capacidades técnicas de reidentificação evoluírem, a classificação do dado pode mudar, e a organização precisa ter um processo para detectar e responder a essa mudança.

Implicações práticas para quem trata dados no Brasil

Cessão e venda de dados anonimizados

Organizações que vendem ou compartilham datasets “anonimizados” com terceiros assumem responsabilidade pela avaliação de risco de reidentificação antes de qualquer cessão. Se o comprador ou receptor tiver acesso a bases externas que, combinadas com o dataset cedido, permitam reidentificação, o controlador original pode ser responsabilizado — especialmente se não tiver documentado a avaliação de risco ou se tiver ignorado o contexto de uso pelo destinatário.

Contratos de cessão de dados anonimizados deveriam incluir cláusulas proibindo tentativas de reidentificação e especificando o contexto de uso autorizado. Isso não elimina o risco regulatório, mas demonstra due diligence e pode ser relevante em processos administrativos perante a ANPD.

Treinamento de IA e integrações externas

O uso de dados anonimizados para treinamento de modelos de machine learning traz riscos específicos. Modelos treinados podem memorizar padrões individuais presentes nos dados de treinamento, fenômeno documentado em modelos de linguagem e redes neurais profundas. Um modelo treinado sobre dados “anonimizados” pode ser consultado de forma a revelar informações sobre indivíduos específicos.

Integrações com APIs externas que recebem dados anonimizados também merecem atenção. Se a API pertence a um fornecedor com acesso a outras bases de dados que permitem cruzamento, o dado anonimizado pode deixar de sê-lo no ambiente do fornecedor. Cláusulas contratuais e avaliações de impacto são insuficientes sem controles técnicos: differential privacy aplicada antes do envio é uma abordagem mais defensável.

Direitos dos titulares e prova de anonimização

Se um titular solicitar exclusão ou correção de dados e a organização afirmar que os dados foram anonimizados, a solicitação tecnicamente não se aplica, pois dado anonimizado não é dado pessoal. A organização precisa, contudo, conseguir demonstrar que a anonimização é efetiva. Na prática, isso significa ter documentação técnica acessível e um processo para responder a questionamentos da ANPD se o titular reclamar ao órgão.

A situação mais delicada ocorre quando a organização retém dados pseudonimizados internamente e compartilha versões “anonimizadas” externamente. Nesse caso, os dados internos continuam sendo pessoais, e os direitos dos titulares se aplicam integralmente à cópia pseudonimizada, mesmo que a versão externa seja genuinamente anônima.

Auditorias periódicas de anonimização

Técnicas que eram suficientes há três anos podem não resistir às capacidades de reidentificação disponíveis hoje. Organizações que mantêm datasets anonimizados de longo prazo precisam de um processo formal de revisão periódica, não apenas da técnica aplicada, mas do modelo de ameaça. Quais bases externas estão disponíveis hoje que não estavam antes? Quais técnicas de ataque emergiram? Os quasi-identificadores presentes no dataset permitem cruzamentos que antes eram inviáveis?

Essa auditoria não precisa ser anual em todos os casos, mas deve ser disparada por eventos relevantes: um novo vazamento de base pública, a adoção de novas técnicas de reidentificação pelo mercado, ou mudança no perfil de uso do dataset.

Perguntas frequentes sobre LGPD e anonimização

Posso usar dados anonimizados sem base legal?

Sim. Se a anonimização for genuína — ou seja, se o dado realmente não puder ser associado a uma pessoa por meios técnicos razoáveis — ele deixa de ser dado pessoal e sai do escopo da LGPD. Não é necessária base legal, consentimento ou registro de atividade de tratamento. O problema é que a responsabilidade de provar que a anonimização é efetiva recai inteiramente sobre o controlador.

Dado pseudonimizado é tratado como dado pessoal?

Sim, sem exceção. A LGPD é explícita no §4º do artigo 12: a pseudonimização não altera a natureza pessoal do dado. Como a reversão é possível mediante uso de chave ou tabela de correspondência, o dado permanece pessoal e todos os direitos dos titulares se aplicam. Bases legais precisam ser definidas, atividades de tratamento precisam ser registradas.

A ANPD pode questionar a anonimização de um conjunto de dados?

Sim. A ANPD tem competência para fiscalizar e pode questionar a classificação de um dataset como anonimizado, especialmente se houver denúncia de titular, evidência de reidentificação ou se o contexto de uso do dado levantar suspeitas. Nesses casos, o ônus da prova é do controlador: ele precisa demonstrar com documentação técnica que a anonimização era efetiva no momento do tratamento e que permanece efetiva.

Como documentar a decisão de classificar dados como anonimizados?

A documentação deve conter ao menos: descrição do dataset e dos campos presentes, técnicas de anonimização aplicadas com parâmetros específicos, análise dos quasi-identificadores considerados e por que foram avaliados como insuficientes para reidentificação, modelo de ameaça (perfil do agente que poderia tentar a reidentificação e recursos disponíveis), data da avaliação e responsável técnico, e critério para revisão futura. Esse registro pode ser mantido internamente e não precisa ser reportado à ANPD proativamente, mas deve estar disponível em caso de fiscalização.

Como avaliar se sua anonimização é juridicamente sustentável

O primeiro passo é mapear todos os datasets que sua organização classifica como anonimizados e verificar se essa classificação foi documentada ou assumida informalmente. Datasets sem documentação técnica são o risco regulatório mais imediato.

Avalie o modelo de ameaça de cada dataset: quais bases externas estão disponíveis publicamente ou para potenciais compradores? Quais quasi-identificadores presentes no dataset permitem cruzamentos? Existe algum campo que, combinado com dados externos, permite identificar indivíduos em subgrupos pequenos da população?

Revise os contratos de cessão de dados anonimizados vigentes. Eles proíbem tentativas de reidentificação? Especificam o contexto de uso? Se não, considere incluir cláusulas específicas nas próximas renovações.

Defina um gatilho de revisão periódica — não apenas um calendário fixo, mas critérios baseados em eventos: novo vazamento relevante, nova técnica de reidentificação, mudança no perfil de uso do dado ou alteração regulatória da ANPD. A anonimização não é uma decisão pontual, é uma avaliação contínua.

Por fim, envolva equipes técnicas e jurídicas na avaliação conjunta. A decisão de classificar um dado como anonimizado tem implicações técnicas que advogados sozinhos não conseguem avaliar, e implicações regulatórias que engenheiros sozinhos tendem a subestimar.